WORLDTECHMicrosoft liefert Notfall-Patches für vier.NET-Lücken, darunter Brotli-Überlauf
Microsoft hat außerplanmäßige Sicherheitsupdates für .NET herausgegeben, die vier Schwachstellen beheben. Dazu zählt ein Pufferüberlauf in der Brotli-Dekomprimierung und Mängel, die ein früheres Oktober-Update hinterlassen hatte. Das Unternehmen fordert Kunden auf, die Updates ohne Verzögerung einzuspielen.
Der Pufferüberlauf in Brotli
Am gravierendsten ist CVE-2026-111497, die die Brotli-Dekomprimierung in .NET auf allen Plattformen betrifft. Laut Bericht könnte der Pufferüberlauf einem nicht authentifizierten Angreifer erlauben, Prozessspeicher zu lesen oder zu verändern. Als mögliche Folgen werden die Offenlegung von Informationen, Dienstverweigerung und die Ausweitung von Rechten genannt.
Ob Anwendungen betroffen sind, hängt von der Nutzung ab. Gefährdet sind Anwendungen, die Brotli-komprimierte Daten über die Dekomprimierung von Anfragen in ASP.NET Core, die automatische Dekomprimierung von Antworten in HttpClient oder die Brotli-Schnittstellen in System.IO.Compression verarbeiten. Die Dekomprimierung von Anfragen und die automatische Dekomprimierung von Antworten sind standardmäßig deaktiviert, was die Zahl betroffener Anwendungen begrenzt.
Linux-Tarballs und lokale Rechteausweitung
Eine zweite Lücke, CVE-2026-114148, steckt in unsicheren Eigentümer-Metadaten der .NET-Tarballs für Linux. Ein lokaler Angreifer könnte betroffene Installationen ausnutzen, um Dateien zu verändern und höhere Rechte zu erlangen.
Die Auswirkungen unterscheiden sich je nach Version. Bei .NET 10 und .NET 11 beschränkt sich das Problem auf Source-Build-Tarballs. Bei .NET 8 und .NET 9 erstreckt es sich auch auf ASP.NET-Core-Distributionen, die aus ASP.NET-Core-Tarballs installiert wurden, was Installationen betrifft, die .NET nicht aus dem Quellcode kompilieren.
Frühere Oktober-Korrekturen blieben lückenhaft
Microsoft hat zudem zwei Advisories erneut herausgegeben, weil die am 13. Oktober 2026 veröffentlichten Updates die zugrunde liegenden Schwachstellen nicht vollständig beseitigt hatten. CVE-2026-70197 betrifft Speicherbeschädigung in SocketAsyncEventArgs und gilt für .NET 8, .NET 9, .NET 10 und .NET 11. CVE-2026-102870 betrifft den Debugger von Blazor WebAssembly und gilt für .NET 10 und .NET 11. Laut Bericht enthalten die neuesten Versionen nun Korrekturen für beide.
Offene Fragen
- Welche Kunden setzen die betroffenen Brotli-Funktionen produktiv ein?